Análisis del impacto en el negocio: una parte fundamental de la planificación de la continuidad del negocio

Los equipos de TI de la mayoría de las organizaciones están familiarizados con los procesos de recuperación ante desastres y de continuidad del negocio. Sin embargo, es posible que algunos no sean conscientes de la importancia de realizar un análisis de impacto en el negocio (BIA). El BIA es uno de los elementos más importantes de un plan de continuidad del negocio. Ayuda a las empresas a determinar el impacto financiero de las interrupciones del servicio o de cualquier otra perturbación en su actividad.

¿Qué es un análisis de impacto empresarial y por qué es importante?

Un análisis de impacto en el negocio (BIA) identifica las consecuencias de una pérdida repentina de las funciones empresariales, normalmente en términos de coste para la empresa. Un BIA también identifica las funciones empresariales más críticas, lo que permite elaborar un plan de continuidad del negocio que dé prioridad a la recuperación de estas funciones esenciales. Sin embargo, la causa de la interrupción de la actividad empresarial no es importante. Podría deberse a una negligencia, a un desastre natural, a un ciberataque o a otras causas. En cambio, se centra en el impacto del desastre en la empresa, prioriza los recursos y determina el mejor enfoque para la recuperación.

Un BIA se compone de tres elementos clave:

• Repercusiones en la empresa
• Plazos
• Dependencias

Cada uno de estos aspectos se analiza con más detalle a continuación. Como parte de los fundamentos de un plan de continuidad del negocio, un análisis de impacto en el negocio (BIA) es esencial para la recuperación de la actividad empresarial en caso de catástrofe.

Repercusión en la empresa

Determinar las funciones empresariales más críticas en función de su costo para la empresa.

Un BIA determina las funciones más importantes de una empresa que le permiten mantenerse a flote: su conjunto completo de procesos empresariales, los recursos necesarios para ejecutar dichos procesos y los sistemas requeridos para ello. El coste potencial asociado a una interrupción de la actividad empresarial —como la pérdida de ingresos, las sanciones por incumplimiento normativo, las penalizaciones contractuales derivadas del incumplimiento de los acuerdos de nivel de servicio (SLA), el aumento de los costes operativos, etc.— se calcula en dólares reales para cada función empresarial.

Para evaluar el impacto financiero, un método consiste en utilizar un cuestionario con preguntas cuyas respuestas se puntúan en una escala del 1 al 5. Por ejemplo:

• ¿Cuál sería la posible pérdida de ingresos si esta función empresarial dejara de funcionar?
• ¿A qué multas y sanciones se enfrentaría la empresa?
• ¿Qué incremento de los costos de explotación experimentaría la empresa?

También puede haber costos no monetarios para la empresa. Por ejemplo, daños a la reputación y pérdida de fondo de comercio. Su cuestionario también podría incluir preguntas como:

• ¿Cuál sería el posible perjuicio para la reputación de la empresa?
• ¿Qué repercusiones tendría esto en la atención al cliente?

Identificar las posibles amenazas para estas funciones

Una vez que el análisis de impacto en el negocio (BIA) identifica las funciones críticas de la empresa, determina los riesgos asociados a ellas, así como las condiciones que podrían provocar una interrupción de los procesos empresariales y la probabilidad de que el riesgo se repita.

Plazos

Hay tres horizontes temporales que tu BIA debe abordar:

• Objetivo de punto de recuperación (RPO): normalmente, el tiempo transcurrido entre dos copias de seguridad de datos, que representa el tiempo máximo durante el cual se pueden perder datos en caso de desastre.
• Objetivo de tiempo de recuperación (RTO): el tiempo que tardarías en recuperar los datos a partir de una copia de seguridad.
• Tiempo máximo de inactividad admisible (MAD): el periodo máximo de inactividad que una función empresarial concreta puede permitirse. Debe incluir el tiempo que se tardaría en restablecer el pleno funcionamiento de dicha función tras la restauración de una copia de seguridad.

Dependencias

Un análisis de impacto en el negocio (BIA) debe determinar las dependencias entre los procesos de negocio y los sistemas. Esto ayuda a establecer las prioridades de los sistemas que deben recuperarse en primer lugar. Un BIA te ayuda a determinar el orden en el que deben restablecerse las funciones o procesos perdidos. Una función de negocio de la que dependan más procesos de negocio para su funcionamiento tendrá mayor prioridad en el proceso de recuperación que otras.

También podría haber dependencias con respecto a determinados proveedores con los que tendrás que colaborar para restablecer diversos sistemas y funciones. Entre ellos podrían figurar proveedores de TI y proveedores de servicios de Internet, y deberían quedar documentados en tu análisis de impacto en el negocio (BIA).

¿Existen normas de la BIA?

Existen varias normas que ofrecen orientación sobre cómo elaborar un análisis de impacto en el negocio (BIA). Entre ellas se encuentran la norma 22301 de la Organización Internacional de Normalización (ISO), la norma 1600 de la Ley Nacional de Protección contra Incendios y la norma sobre planes de continuidad de las operaciones (BCP) del Consejo Federal de Inspección de Instituciones Financieras (FFIEC) para entidades financieras.

Análisis del impacto en el negocio como parte de la planificación de la continuidad del negocio

Un plan de continuidad del negocio (BCP) describe las medidas que deben adoptarse en caso de una interrupción o fallo, mientras que un análisis de impacto en el negocio (BIA) identifica el riesgo que podría provocar dicha interrupción, así como las funciones críticas de la empresa que podrían verse afectadas por ella, y establece un orden de prioridad para su recuperación. Un BIA sienta las bases para un plan de continuidad del negocio sólido y prepara a una organización para el esfuerzo inevitable que requiere la recuperación tras una interrupción de la actividad. Los BCP no solo se centran en las operaciones técnicas (problemas de hardware o software), sino que también tienen en cuenta al personal y otros recursos relacionados con la continuidad del negocio.

Una vez que el BIA esté en marcha, es recomendable revisarlo y actualizarlo periódicamente, ya que tu empresa va cambiando con el tiempo. Esto te permite aprovechar el BIA de forma eficaz para hacer frente a nuevos riesgos y retos. Se recomienda hacerlo al menos cada dos años. Un BIA, junto con la planificación de la continuidad del negocio, permite a una organización minimizar el tiempo de inactividad y garantizar la productividad de la plantilla incluso en caso de crisis.

Descubre más sobre la planificación de la continuidad del negocio en nuestro libro electrónico «Cómo convertir una crisis en una oportunidad».